工業(yè)和信息化部關于印發(fā)《工業(yè)和信息化領域數(shù)據(jù)安全風險評估實施細則（試行）》的通知
工信部網安〔2024〕82號
各省、自治區(qū)、直轄市、計劃單列市及新疆生產建設兵團工業(yè)和信息化主管部門，各省、自治區(qū)、直轄市通信管理局，青海、寧夏無線電管理機構，部屬各單位，部屬各高校，各有關企業(yè)：
現(xiàn)將《工業(yè)和信息化領域數(shù)據(jù)安全風險評估實施細則（試行）》印發(fā)給你們，請認真遵照執(zhí)行。
工業(yè)和信息化部
2024年5月10日
工業(yè)和信息化領域數(shù)據(jù)安全風險評估實施細則(試行)
第一條 根據(jù)《中華人民共和國數(shù)據(jù)安全法》《中華人民 共和國網絡安全法》等法律，按照《工業(yè)和信息化領域數(shù)據(jù)安全管理辦法(試行)》有關要求，為引導工業(yè)和信息化領域數(shù)據(jù)處理者規(guī)范開展數(shù)據(jù)安全風險評估工作，提升數(shù)據(jù)安全管理水平，維護國家安全和發(fā)展利益，制定本細則。
第二條 本細則適用于對中華人民共和國境內工業(yè)和信 息化領域重要數(shù)據(jù)和核心數(shù)據(jù)處理者數(shù)據(jù)處理活動開展的數(shù)據(jù)安全風險評估。
第三條 工業(yè)和信息化部統(tǒng)一管理、監(jiān)督和指導工業(yè)和信息化領域數(shù)據(jù)安全風險評估工作，組織開展相關評估標準制修訂及推廣應用。
各省、自治區(qū)、直轄市及計劃單列市、新疆生產建設兵團工業(yè)和信息化主管部門，各省、自治區(qū)、直轄市通信管理局和無線電管理機構(以下統(tǒng)稱地方行業(yè)監(jiān)管部門)依據(jù)職責分別負責監(jiān)督管理本地區(qū)工業(yè)、電信、無線電重要數(shù)據(jù)和核心數(shù)據(jù)處理者開展數(shù)據(jù)安全風險評估工作。
工業(yè)和信息化部及地方行業(yè)監(jiān)管部門統(tǒng)稱為行業(yè)監(jiān)管部門。
第四條 重要數(shù)據(jù)和核心數(shù)據(jù)處理者按照及時、客觀、有效的原則開展數(shù)據(jù)安全風險評估，形成真實、完整、準確的評估報告，并對評估結果負責。
第五條 重要數(shù)據(jù)和核心數(shù)據(jù)處理者按照國家法律法規(guī)、行業(yè)監(jiān)管部門有關規(guī)定以及評估標準，對數(shù)據(jù)處理活動的目的和方式、業(yè)務場景、安全保障措施、風險影響等要素，開展數(shù)據(jù)安全風險評估，重點評估以下內容：
(一)數(shù)據(jù)處理目的、方式、范圍是否合法、正當、必要；
(二)數(shù)據(jù)安全管理制度、流程策略的制定和落實情況；
(三)數(shù)據(jù)安全組織架構、崗位配備和職責履行情況；
(四)數(shù)據(jù)安全技術防護能力建設及應用情況；
(五)數(shù)據(jù)處理活動相關人員是否熟悉數(shù)據(jù)安全相關政策法規(guī)、是否具備數(shù)據(jù)安全知識技能、是否接受數(shù)據(jù)安全相關教育培訓等情況；
(六)發(fā)生數(shù)據(jù)遭到篡改、破壞、泄露、丟失或者被非法獲取、非法利用等安全事件，對國家安全、公共利益的影響范圍、程度等風險；
(七)涉及數(shù)據(jù)提供、委托處理、轉移的，數(shù)據(jù)獲取方或受托方的安全保障能力、責任義務約束和履行情況；
(八)涉及國家法律法規(guī)中規(guī)定需要申報的數(shù)據(jù)出境安全評估情形，履行數(shù)據(jù)出境安全評估要求情況。
第六條 重要數(shù)據(jù)和核心數(shù)據(jù)處理者每年至少開展一次數(shù)據(jù)安全風險評估，評估結果有效期為一年，以評估報告首次出具日期計算。評估報告應當包括數(shù)據(jù)處理者基本情況、評估團隊基本情況、重要數(shù)據(jù)的種類和數(shù)量、開展數(shù)據(jù)處理活動的情況、數(shù)據(jù)安全風險評估環(huán)境，以及數(shù)據(jù)處理活動分析、合規(guī)性評估、安全風險分析、評估結論及應對措施等。
在有效期內出現(xiàn)以下情形之一的，重要數(shù)據(jù)和核心數(shù)據(jù)處理者應當及時對發(fā)生變化及其影響的部分開展風險評估：
(一)新增跨主體提供、委托處理、轉移核心數(shù)據(jù)的；
(二)重要數(shù)據(jù)、核心數(shù)據(jù)安全狀態(tài)發(fā)生變化對數(shù)據(jù)安全造成不利影響的，包括但不限于數(shù)據(jù)處理目的、方式、適用范圍和安全制度策略等發(fā)生重大調整的；
(三)發(fā)生涉及重要數(shù)據(jù)、核心數(shù)據(jù)的安全事件的；
(四)重要數(shù)據(jù)和核心數(shù)據(jù)目錄備案內容發(fā)生重大變化的；
(五)行業(yè)監(jiān)管部門要求進行評估的其他情形。
第七條 重要數(shù)據(jù)和核心數(shù)據(jù)處理者可以自行或者委托具有工業(yè)和信息化數(shù)據(jù)安全工作能力的第三方評估機構開展評估。評估過程應當建立至少包括組織管理、業(yè)務運營、 技術保障、安全合規(guī)等人員的專業(yè)化評估團隊，制定完備的評估工作方案，配備有效的技術評測工具。
第八條 重要數(shù)據(jù)和核心數(shù)據(jù)處理者委托第三方評估機構開展數(shù)據(jù)安全風險評估的，可以通過訂立合同或者其他具有法律效力的文件，明確雙方的權利和責任，向第三方評估 機構提供必需的材料和條件，確保相關材料的真實性和完整性，并確認評估結果。
第九條 重要數(shù)據(jù)和核心數(shù)據(jù)處理者對評估中發(fā)現(xiàn)的數(shù)據(jù)安全風險隱患，應當及時采取適當措施消除或降低風險隱患。
第十條 重要數(shù)據(jù)和核心數(shù)據(jù)處理者應當在評估工作完成后的10個工作日內，向本地區(qū)行業(yè)監(jiān)管部門報送評估報告。
中央企業(yè)督促指導所屬企業(yè)履行屬地數(shù)據(jù)安全風險評估及評估報告報送要求，并將梳理匯總的企業(yè)集團本部、所屬公司的評估報告報送工業(yè)和信息化部。
地方行業(yè)監(jiān)管部門將本地區(qū)本領域重要數(shù)據(jù)和核心數(shù)據(jù)處理者的評估結果報送工業(yè)和信息化部。
第十一條 地方行業(yè)監(jiān)管部門發(fā)現(xiàn)不符合法律法規(guī)和有關規(guī)定的，應當及時通知重要數(shù)據(jù)和核心數(shù)據(jù)處理者依法予以改正。地方行業(yè)監(jiān)管部門于12月25日前，將本地區(qū)本年度評估報告接收和審核情況報送工業(yè)和信息化部。工業(yè)和信息化部視情對評估報告組織抽查審核。
涉及跨主體提供、轉移、委托處理核心數(shù)據(jù)的，地方行業(yè)監(jiān)管部門應當在數(shù)據(jù)處理者提交評估報告的20個工作日內完成審查，并報工業(yè)和信息化部按照國家有關規(guī)定進行復核。
第十二條 鼓勵熟悉工業(yè)和信息化領域數(shù)據(jù)安全工作，滿足資質要求的認證機構開展第三方評估機構的能力認證。
相關認證機構配備相應的人員和技術保障能力，建立第三方評估機構能力認證制度，明確第三方評估機構在管理體系、人員能力、工具設施、評估領域等方面的規(guī)范要求，跟蹤管理第三方評估機構的服務質量，督促第三方評估機構獨立、公正、客觀、科學地開展數(shù)據(jù)安全風險評估工作。
第十三條 第三方評估機構應當履行下列義務：
(一)對評估工作中知悉的國家秘密、重要數(shù)據(jù)和核心數(shù)據(jù)的目錄與內容、商業(yè)秘密、個人隱私，以及與數(shù)據(jù)處理者簽署的保密協(xié)議中約定的保密信息等嚴格保密；
(二)嚴格按照國家法律法規(guī)、行業(yè)監(jiān)管部門有關規(guī)定以及評估標準，公正、獨立地開展評估并出具評估報告，全面、準確、客觀地反映重要數(shù)據(jù)和核心數(shù)據(jù)處理者的數(shù)據(jù)安全風險狀況，提供務實有效的風險整改建議措施；
(三)除重要數(shù)據(jù)和核心數(shù)據(jù)處理者書面同意或者法律、行政法規(guī)另有規(guī)定外，不得向其他組織或個人提供評估中收集掌握的相關信息。
第十四條 工業(yè)和信息化部根據(jù)技術能力、人員配備、信譽資質等情況，擇優(yōu)遴選通過能力認證的第三方評估機構，建立工業(yè)和信息化領域數(shù)據(jù)安全風險評估支撐機構庫。地方行業(yè)監(jiān)管部門可以參照建立本地區(qū)數(shù)據(jù)安全風險評估支撐機構庫。
行業(yè)監(jiān)管部門根據(jù)工作需要，可以自行或組織數(shù)據(jù)安全風險評估支撐機構庫中的機構，對重要數(shù)據(jù)和核心數(shù)據(jù)處理者的數(shù)據(jù)處理活動開展專項風險評估，或對重要數(shù)據(jù)和核心數(shù)據(jù)處理者的風險評估工作落實情況進行監(jiān)督檢查。
重要數(shù)據(jù)和核心數(shù)據(jù)處理者對行業(yè)監(jiān)管部門發(fā)起的專項風險評估及監(jiān)督檢查應當予以配合，并對評估發(fā)現(xiàn)的相關問題及時進行改正。
第十五條 行業(yè)監(jiān)管部門對于違反國家認證認可相關規(guī)定的認證機構，將相關線索移交市場監(jiān)督管理部門處理。
行業(yè)監(jiān)管部門對第三方評估機構的評估活動進行監(jiān)督管理，對違反法律法規(guī)、未按行業(yè)規(guī)定和標準開展評估活動、未履行保密義務的第三方評估機構，視情按照規(guī)定權限和程序進行約談、通報，認證機構應根據(jù)通報信息，對不符合認證要求的第三方評估機構依法暫停直至撤銷其相應認證證書。
第十六條 有違反本實施細則行為的，由行業(yè)監(jiān)管部門按照相關法律法規(guī)，根據(jù)情節(jié)嚴重程度給予行政處罰；構成犯罪的，依法追究刑事責任。
第十七條 行業(yè)監(jiān)管部門及委托支撐機構的工作人員對在履行職責中知悉的國家秘密、商業(yè)秘密、個人信息、評估工作信息等，負有保密義務。
第十八條 對一般數(shù)據(jù)處理者數(shù)據(jù)處理活動開展的數(shù)據(jù)安全風險評估可參照本細則實施。涉及軍事、國家秘密信息等數(shù)據(jù)處理活動，按照國家有關規(guī)定執(zhí)行。
第十九條 本細則自2024年6月1日起施行。
來源：工業(yè)和信息化部
